 DIVISION DE BORDEAUX
Bordeaux, le 27 juillet 2018 Référence courrier : CODEP-BDX-2018-038646 Monsieur le directeur du CNPE de Golfech BP 24 82401 VALENCE D'AGEN CEDEX
Objet : Contrôle des installations nucléaires de base CNPE de Golfech Inspection n° INSSN-BDX-2018-0043 du 10 juillet 2018 Thème : « Management de la sûreté et organisation - Indépendance et missions de la filière indépendante de sûreté »

## Références :

 [1] Directive EDF DI 106 indice 2 - Missions en matière de sûreté et de qualité - Structure sûreté qualité et service conduite ; 
[2] Arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base ; 
 [3] Directive EDF DI 122 indice 1 - Noyau dur de vérification des CNPE ; [4] Guide de l'ASN du 21 octobre 2005 relatif aux modalités de déclaration et à la codification des critères relatifs aux événements significatifs impliquant la sûreté, la radioprotection ou l'environnement applicable aux installations nucléaires de base et aux transports internes de substances radioactives. 

Monsieur le directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) fixées à l'article L. 592-22 du code de l'environnement, une inspection courante a eu lieu le 10 juillet 2018 au centre nucléaire de production d'électricité (CNPE) de Golfech sur le thème de l'indépendance et des missions de la filière indépendante de sûreté (FIS). Je vous communique ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites à cette occasion par les inspecteurs. 

## Synthèse De L'Inspection

L'inspection du 10 juillet 2018 portait sur l'organisation mise en œuvre par le service sûreté qualité (SSQ) du CNPE de Golfech pour mener à bien ses missions, définies dans la directive [1]. Les inspecteurs ont notamment examiné la gestion prévisionnelle des emplois et des compétences des ingénieurs sûreté, le processus d'élaboration du programme de vérification, le pilotage de la réalisation des vérifications et le processus de caractérisation des événements significatifs. Cet examen par sondage a permis d'identifier plusieurs points satisfaisants. Lors des échanges que les inspecteurs ont eus avec vos représentants, le SSQ est notamment apparu vigilant à maintenir un effectif suffisant d'ingénieurs sûreté compétents. S'agissant de la caractérisation des événements significatifs, les désaccords entre la FIS et les services chargés de l'exploitation dont l'arbitrage n'a pas conduit à déclarer un événement significatif sont réexaminés tous les six mois. Ce réexamen, dit « analyse de second niveau », offre la possibilité de reconsidérer avec du recul le caractère potentiellement significatif des événements survenus sur le site. En revanche, les inspecteurs considèrent que l'enregistrement des arguments qui conduisent à décider qu'un écart constitue ou non un événement significatif doit être amélioré. D'autres axes de progrès ont été identifiés par les inspecteurs. Ils estiment en particulier que des actions doivent être engagées afin d'améliorer l'efficacité de la mission de vérification du SSQ, qui fait partie du dispositif mis en place par Électricité de France (EDF) pour répondre aux exigences du I de l'article 2.5.4 de l'arrêté [2]. Ils considèrent notamment que la méthodologie utilisée pour prendre en compte les résultats des vérifications de l'année passée dans l'élaboration du programme de vérification de l'année suivante n'est pas assez rigoureuse. Ils ont par ailleurs constaté que le site rencontre des difficultés récurrentes à réaliser la totalité des vérifications prévues dans le programme annuel. Ces difficultés sont aggravées par un pilotage largement perfectible. Par exemple, le pilotage actuel ne permet pas de savoir de manière fiable et immédiate si une vérification qui n'a pas fait l'objet d'un rapport a été réalisée ou non ni de maîtriser le délai entre la réalisation d'une vérification et la rédaction du rapport correspondant. Il s'ensuit une prise de conscience tardive des retards, avec un risque d'accumuler les vérifications en fin d'année ou de les reporter à l'année suivante. Enfin, le taux de suivi des recommandations émises à l'issue des audits n'est pas satisfaisant. Vos représentants ont connaissance de cette difficulté et ont engagé des actions pour y remédier. Ces dysfonctionnements, qui concernent à la fois l'élaboration du programme de vérification, la réalisation des vérifications et la prise en compte des recommandations, remettent en question l'efficacité des actions de vérification mises en œuvre par le SSQ.

## A. Demandes D'Actions Correctives Actions De Vérification Mises En Œuvre Par Le Ssq

Le premier aliéna du I de l'article 2.5.4 de l'arrêté [2] dispose que « l'exploitant programme et met en œuvre des actions adaptées de vérification par sondage des dispositions prises en application des articles 2.5.2 et 2.5.3 » (dispositions prises pour l'identification des activités importantes pour la protection1 [AIP] et de leurs exigences définies, modalités de réalisation des AIP et contrôles techniques associés). La mission de vérification du SSQ fait partie du dispositif mis en place par EDF pour répondre à cette exigence. Les actions de vérification menées par le SSQ sont définies dans la directive [1]. Elles consistent en une 
« évaluation quotidienne des paramètres et conditions d'exploitation (appelée également 'vérification temps réel') » et un 
« jugement critique (appelé également 'vérification temps différé') sur l'état de l'installation […] et la qualité des opérations d'exploitation », qui sont à la charge de l'ingénieur sûreté d'astreinte, et en la « vérification du système qualité qui se traduit par des audits » pilotés par les auditeurs du SSQ selon les règles applicables au CNPE de Golfech. Les vérifications en temps différé sont également appelées « vérifications de niveau 1 » et les audits 
« vérifications de niveau 2 ». Chaque année, un programme de vérification est établi par les sites conformément aux dispositions prescrites par la directive [3]. Ce programme comporte un « noyau dur » de vérifications, dont les thèmes et la périodicité sont prescrits par la directive [3], ainsi que des actions complémentaires décidées par chaque site. La directive [3] requiert en effet que « le programme de vérification soit adapté et complété localement, en fonction des risques et faiblesses spécifiques identifiés par le site ». 

Le choix des vérifications complémentaires ainsi que les éventuels renoncements reposent notamment sur le bilan des vérifications de l'année précédente. Au CNPE de Golfech, les thèmes vérifiés lors de l'année précédente sont classés en trois catégories : « maîtrisé », « perfectible » et « fragile ». Interrogés sur la méthodologie utilisée pour aboutir à ce classement, vos représentants ont expliqué aux inspecteurs qu'ils se fondent d'une part sur un indicateur calculé en fonction des constats positifs et négatifs émis à l'issue des vérifications de l'année passée et d'autre part sur une analyse qualitative. Les inspecteurs ont examiné cette démarche par sondage pour le thème « consignations ». Ils ont constaté que le calcul de l'indicateur conduit à identifier ce thème comme fragile en 2017 mais, qu'à l'issue de l'analyse qualitative, il a finalement été classé parmi les thèmes maîtrisés dans le document de synthèse qui a servi à élaborer le programme de vérification de l'année 2018. Or la documentation de cette analyse qualitative est très succincte et ne permet pas de justifier le reclassement du thème « consignations ». Cette constatation remet en cause la pertinence des actions de vérification décidées sur la base du bilan des vérifications de l'année précédente. A.1 : L'ASN vous demande de définir une méthodologie rigoureuse pour identifier, à partir des vérifications qui ont été réalisées lors de l'année passée, les risques et les faiblesses à prendre en compte dans l'élaboration du programme de vérification de l'année suivante. Vous prendrez soin d'enregistrer les informations et les analyses qui vous ont conduits à définir le programme de vérification de l'année. Les inspecteurs ont constaté que le SSQ rencontre de façon récurrente des difficultés pour mener à bien le programme annuel de vérification. Les vérifications qui n'ont pas été réalisées sont par défaut reportées à l'année suivante, au risque d'augmenter la charge de travail liée à la mission de vérification. Vos représentants ont évoqué plusieurs raisons qui permettent d'expliquer en partie ce retard. Ils remarquent notamment que les ingénieurs sûreté réalisent des vérifications de niveau 1 plus approfondies que ce qui est attendu et, de ce fait, consacrent à chacune de ces vérifications un temps plus important que la durée de quatre heures prévue dans la directive [3]. Vos représentants soulignent en outre que les auditeurs, auxquels est confié le pilotage des vérifications de niveau 2, doivent également assurer les visites de chantier, ce qui représente une charge de travail importante. Les inspecteurs constatent par ailleurs que le SSQ ne compte que deux auditeurs. Comme l'illustrent plusieurs exemples récents (absence de l'un des auditeurs, mission exceptionnelle confiée à un auditeur), cet effectif ne permet pas de garantir la réalisation de toutes les vérifications de niveau 2 du programme en cas d'événement imprévu. A.2 : L'ASN vous demande de prendre les dispositions nécessaires pour que la gestion prévisionnelle des emplois et des compétences (GPEC) des ingénieurs sûreté et des auditeurs SIR soit dimensionnée afin de répondre de manière efficace à la totalité des vérifications de niveau 1 et de niveau 2 du programme annuel que vous établissez en application de la directive [3]. Les vérifications de niveau 1 donnent lieu à des constats, qui peuvent être positifs ou négatifs. Le processus de traitement de ces constats, qui consiste notamment à définir des actions appropriées et à suivre leur mise en œuvre, est initié par leur enregistrement dans un outil informatique. Or les inspecteurs ont constaté que le délai entre la réalisation d'une vérification de niveau 1 et l'enregistrement dans votre outil informatique des constats auxquels elle donne lieu peut être important. Par exemple, les constats issus d'une vérification de niveau 1 réalisée en janvier 2018 sur le thème des analyses de risque n'étaient pas encore enregistré le jour de l'inspection. En outre, les délais d'enregistrement des constats issus des vérifications de niveau 1 ne sont pas suivis par l'encadrement du SSQ. En application de la directive [1], les vérifications de niveau 1 font partie, avec l'évaluation quotidienne des paramètres et conditions d'exploitation, du dispositif de vérification de l'état de sûreté des installations. L'ASN considère par conséquent que les constats auxquels elles donnent lieu doivent être enregistrés au plus près de leur réalisation afin que des actions correctives puissent, si nécessaire, être mises en œuvre dans des délais appropriés. 

A.3 : L'ASN vous demande de suivre les délais entre la réalisation des vérifications de niveau 1 et l'enregistrement des constats auxquels elles donnent lieu et de prendre des dispositions nécessaires pour que ces délais soient les plus brefs possibles et, qu'en tout état de cause, ils ne remettent pas en cause l'utilité de ces vérifications. Les inspecteurs ont examiné le tableau utilisé par le SSQ pour suivre la réalisation du programme de vérification. Pour plusieurs vérifications de niveau 1 et de niveau 2, ce tableau donne la référence du document de synthèse qui atteste de la réalisation et de l'enregistrement de la vérification. En revanche, dans plusieurs cas, examinés par sondage, où aucun document de synthèse n'est associé à une vérification, les inspecteurs ont constaté que ce tableau ne permet pas au SSQ de savoir de manière fiable et immédiate si la vérification a été réalisée ou non, ni de connaître la date de sa réalisation ou bien la raison pour laquelle elle n'a pas été réalisée. 

Par ailleurs, le programme de vérification en cours couvre la période du 1er octobre 2017 au 30 septembre 2018. Or, le jour de l'inspection, moins de la moitié des vérifications de niveau 1 et de niveau 2 du programme avaient été réalisées, ce qui implique que les vérifications s'accumuleront en fin d'année ou seront reportées à l'année suivante. A.4 : L'ASN vous demande de vous doter d'outils de suivi fiables et opérationnels qui vous permettent de piloter de manière efficace et réactive la réalisation du programme annuel de vérification que vous établissez en application de la directive [3]. Vous veillerez notamment à répartir, autant que les cycles de fonctionnement des réacteurs le permettent, les vérifications sur la totalité de l'année afin de vous prémunir de l'absence de réalisation et de report d'un grand nombre d'entre elles. 

## B. Demandes D'Informations Complémentaires

Mise en œuvre des actions décidées à l'issue des vérifications de niveau 2 Le I de l'article 2.6.3 de l'arrêté [2] requiert que « l'exploitant s'assure, dans des délais adaptés aux enjeux, du traitement des écarts, qui consiste notamment à […] mettre en œuvre les actions ainsi définies [les actions curatives, préventives et correctives appropriées] ». Les vérifications de niveau 2 donnent lieu à des recommandations formulées par les auditeurs. En concertation avec le SSQ, les services « métiers » concernés proposent des actions pour prendre en compte ces recommandations et définissent leurs échéances. Le taux actuel de réalisation, dans les délais prévus, des actions décidées à l'issue des vérifications de niveau 2 est de 30 %. Le SSQ a entrepris un travail sur la définition des actions et de leurs échéances qui vise à améliorer les délais de réalisation de ces actions. B.1 : L'ASN vous demande de lui faire part du degré d'avancement des actions issues du travail d'analyse mené par le SSQ. Vous en analyserez l'efficacité et les mesures complémentaires qu'il convient de prendre. Capacité de détection des écarts aux exigences définies pour les AIP et aux exigences fixées par le système de gestion intégrée L'article 2.6.1 de l'arrêté [2] dispose que « l'exploitant prend toute disposition pour détecter les écarts relatifs à son installation » et l'article 2.6.2 du même arrêté qu'il « procède dans les plus brefs délais à l'examen de chaque écart ». D'après la directive [1], le SSQ assure une mission d'analyse qui consiste notamment à « participer à la détection et à l'analyse des événements pouvant avoir un caractère précurseur vis-à-vis de la sûreté ». Le SSQ doit donc être en mesure d'examiner, au plus tôt et de manière indépendante, la totalité des dysfonctionnements détectés dans l'installation, y compris les écarts potentiels aux exigences définies pour les AIP et aux exigences fixées par le système de gestion intégrée. Ces écarts potentiels sont saisis sous forme de constats dans un nouvel outil informatique, dénommé Caméléon, actuellement en cours de déploiement. Par l'intermédiaire de cet outil, le SSQ a accès à tous les constats dont la caractérisation lui incombe ainsi qu'à tous les constats déjà caractérisés. En revanche, vos représentants n'ont pas été en mesure, le jour de l'inspection, d'accéder aux constats non encore caractérisés et dont la caractérisation n'est pas à la charge du SSQ. B.2 : L'ASN vous demande de lui préciser comment vous vous assurez que les outils informatiques dont vous disposez permettent au SSQ d'avoir connaissance de tous les écarts potentiels au plus près de leur détection, notamment les écarts potentiels aux exigences définies pour les AIP et aux exigences fixées par le système de gestion intégrée même si ces écarts n'ont pas encore été caractérisés. 

## Aip Relative À La Déclaration Des Événements Significatifs

L'article 2.5.6 de l'arrêté [2] dispose que « les activités importantes pour la protection, leurs contrôles techniques, les actions de vérification et d'évaluation font l'objet d'une documentation et d'une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies. Les documents et enregistrements correspondants sont tenus à jour, aisément accessibles et lisibles, protégés, conservés dans de bonnes conditions, et archivés pendant une durée appropriée et justifiée ». Vos représentants ont indiqué aux inspecteurs que la déclaration d'un événement significatif constitue une AIP. Or, comme l'illustre le constat qui fait l'objet de la demande B.1 de la présente lettre, l'enregistrement des motifs qui conduisent à décider de déclarer ou non un événement significatif est apparue perfectible aux inspecteurs. B.3 : L'ASN vous demande de lui indiquer quelles sont les exigences définies pour l'AIP relative à la déclaration des événements significatifs et quels documents et enregistrements permettent de répondre aux obligations de documentation et de traçabilité énoncées à l'article 2.5.6 de l'arrêté [2]. Vous lui préciserez également selon quelles modalités le contrôle technique et les actions de vérification et d'évaluation, prévus respectivement par les articles 2.5.3 et 2.5.4 du même arrêté, sont mis en œuvre pour cette AIP.

## Analyse Des Causes Profondes Du « Défaut D'Adhérence » Aux Procédures

Dans votre analyse de sûreté de l'année 2017, vous identifiez parmi les causes récurrentes d'écarts un « défaut d'adhérence » aux procédures. L'ASN estime qu'un « défaut d'adhérence » aux procédures (stricte respect de la procédure) ne peut être considéré, dans la majorité des cas, comme une cause profonde, mais comme une conséquence de dysfonctionnements dans l'organisation du travail ou dans l'ergonomie des documents opérationnels. En accord avec votre analyse, une action intitulée « décliner et partager le fondamental « adhérence aux procédures » au sein des services » a été inscrite au plan d'action du macro processus sûreté de votre système de gestion intégrée pour l'année 2018. Cette action prévoit notamment de constituer un groupe de travail impliquant un référent de chaque service ou collectif et d'identifier les bonnes pratiques. 

B.4 : L'ASN vous demande de lui transmettre, pour la fin 2018, les résultats des réflexions menées par le groupe de travail sur « l'adhérence » aux procédures. Vous veillerez à analyser les causes profondes des cas « d'absence d'adhérence » aux procédures et à mettre en œuvre les actions correctives et préventives appropriées.

## Caractérisation Des Événements Significatifs Potentiels

En application du I de l'article 2.6.4 de l'arrêté [2], l'exploitant d'une installation nucléaire de base est tenu de déclarer à l'ASN tout événement significatif relatif à son installation. Un événement significatif est défini à l'article 1.3 de l'arrêté [2] comme un écart présentant une importance particulière. Les critères de déclaration des événements significatifs sont précisés dans le guide de l'ASN [4]. Lorsqu'un écart pourrait être redevable d'une déclaration à l'ASN, les services « métiers » concernés, les services chargés de l'exploitation et la FIS procèdent à des analyses indépendantes, sur la base desquelles la direction décide de déclarer ou non un événement significatif. Au CNPE de Golfech, ces analyses et la décision de la direction sont formalisées dans un « dossier d'analyse déclarative » (DAD). Les inspecteurs ont examiné par sondage des DAD récents. L'un d'eux (DAD 405) portait sur l'écart libellé « perte du tableau du circuit de distribution électrique 6,6 kV 2 LHB 001 TB lors de la pose du régime mère 2 LHQ 101 MC sur le groupe électrogène de secours LHQ » survenu le 13 juin 2018. Pour cet écart, les services chargés de l'exploitation proposaient de ne pas déclarer d'événement significatif et la FIS de déclarer un événement significatif pour la sûreté au titre du critère 7 de l'annexe 6 du guide [4] : « événement ayant causé ou pouvant causer des défaillances multiples : indisponibilité de matériels due à une même défaillance ou affectant toutes les voies d'un système redondant ou le même type de matériels de plusieurs systèmes de sûreté ». La direction a décidé de suivre la position des services chargés de l'exploitation mais, dans la section du DAD consacrée à la justification de sa décision, la raison pour laquelle la proposition de la FIS n'a pas été retenue n'est pas indiquée. En effet, la justification de la direction indique que les critères 1, 4, 5, 6, 8 et 9 ne s'appliquent pas et que les critères 3 et 10 sont écartés. En revanche, aucun argument n'est avancé pour écarter le critère 7 retenu par la FIS. B.5 : L'ASN vous demande de lui transmettre les arguments qui vous ont conduit à ne pas déclarer un évènement significatif pour la sûreté au titre du critère 7 de l'annexe 6 du guide [4], en désaccord avec la position de la FIS. Le cas échéant, vous procéderez à cette déclaration.

## C. Observations Sans Objet.

�
Vous voudrez bien me faire part, sous deux mois, de vos remarques et observations ainsi que des dispositions que vous prendrez pour remédier aux constatations susmentionnées. Pour les engagements que vous prendriez, je vous demande de les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. 

Enfin, conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma considération distinguée. 

L'adjoint à la cheffe de la division de Bordeaux, SIGNÉ PAR 
Bertrand FREMAUX 
7 